VPN למשרד קטן: הרחיקו אותו מבקר התחום

שלושה תנאים קובעים אם השרת היחיד של המשרד צריך גם לסיים את ה-VPN: כמה תוכנה הפונה לאינטרנט אתם מוכנים להריץ על הספרייה, אם אתם יכולים לאמת משתמשים מרוחקים בלי התפקיד הזה, ומה קורה לגישה הניהולית שלכם כשהמארח מאתחל. אם לאחד מהשלושה יש תשובה גרועה, הפרידו בין התפקידים. גודל המשרד משנה את התקציב, לא את הסיכון.

כל מכונה בתחום סומכת על בקר תחום; אל שער VPN יכול להגיע כל אחד באינטרנט. חוסר הסימטריה הזה הוא כל הטיעון.

שני תפקידים עם שני פרופילי חשיפה שונים

השער מקבל חיבורים מבחוץ, ולכן המאזין שלו, מחסנית ה-TLS ומשטח האימות שלו כולם נגישים מרשתות לא מהימנות. הספרייה מחזיקה בסמכות שמכונות אחרות סומכות עליה, ולכן הנחיות ההקשחה של Microsoft מתייחסות לתפקיד בקר התחום ולסביבת האחסון שלו כרגישים במיוחד. כל שירות שנוסף למארח הזה יורש את עמדת האמון של הספרייה ומוסיף משטח תקיפה משלו. נוחות ההתקנה אינה גבול אמון.

הפרדת התפקידים אינה מסירה את התלויות. משתמשים מרוחקים עדיין זקוקים לאימות, למסלולים, ל-DNS ולכללי גישה, ושער שמדלג עליהם אינו בטוח יותר, רק פחות שימושי.

אימות בלי תפקיד הספרייה

שער יכול לאמת אישורים באמצעות אינטגרציה חיצונית נתמכת בלי לאחסן את הספרייה עצמה. יהיה מה שיהיה האינטגרציה, תנו לה חשבון שזכויותיו תואמות למטרה: קריאת המאפיינים הדרושים לאימות, ולא יותר. קבלת משתמשי VPN לעולם אינה דורשת להפוך את חשבונותיהם הרגילים למנהלי תחום, ולעולם אינה דורשת שהשער יחזיק עותק של הספרייה.

לאחר מכן הגבילו את נתיבי הרשת שהלקוח המרוחק באמת צריך. גישה לשירות קבצים פנימי אחד, בתוספת שירותי פתרון השמות והזהות שהזרימה הזו תלויה בהם, היא קבוצה מוגדרת של נתיבים. זה אינו סיבה לאפשר כל יציאה של בקר התחום או כל ממשק ניהולי ממאגר ה-VPN.

מארח אחד הוא עדיין תחום כשל אחד

שני אורחים על היפרוויזר אחד מפרידים את תצורת מערכת ההפעלה שלהם ואינם מפרידים את גורלם. מנהלי ההיפרוויזר, המיתוג הווירטואלי, האחסון והגיבויים נשארים חלק מהתכנון, ואתחול המארח מסיר את שני השירותים בבת אחת. לקרוא לזה זמינות גבוהה מפני שהתרשים מראה שני VM היא טעות נפוצה ויקרה. אם הדרך היחידה חזרה עוברת דרך ה-VPN על אותו מארח, כשל לוקח את החיבור הדרוש לתיקונו.

לכן תכננו נתיב ניהול עצמאי שאינו תלוי במנהרה, ורשמו מה נשאר זמין בזמן תחזוקה. תזמנו עדכוני שער ותחזוקת ספרייה בנפרד, וציינו אילו משתמשים או יישומים כל הפרעה נוגעת בהם.

חלון תחזוקה שדורש שה-VPN יהיה פעיל כדי לתקן את ה-VPN אינו חלון תחזוקה.

העבירו אותו בלי לנעול את עצמכם בחוץ

אם התפקידים כבר חולקים התקנה אחת, הימנעו מהגירה מרוחקת נמהרת. עשו מלאי של מה שהשער מחזיק היום: כתובות, כללי העברה, NAT, הגדרות DNS, תצורת אימות וכל שירות מפורסם. הכינו גם את ההחלפה וגם דרך חזרה לפני שתעבירו את המאזין או תשנו מסלול ברירת מחדל. אחר כך בדקו את העבודה האמיתית של משתמש מרוחק רגיל דרך הגבול החדש, ואשרו שגישה ניהולית מיותרת עדיין נכשלת.

המטרה אינה תרשים יפה יותר. היכולת לתקן או לבנות מחדש את ה-VPN בלי לגעת בקופסה שמעגנת את אמון הספרייה לכל המשרד. אלה מטרות שונות, ורק אחת מהן זקוקה לשרת שני.

תעדו את ההחלטה בכל מקרה, כולל התנאים שיפתחו אותה מחדש. משרד קטן גדל, והתשובה שהתאימה לשרת אחד אולי לא תתאים לבא אחריו.